🔍 PhantomRShell — редкий пример вредоносного ПО с тщательно проработанной маскировкой

Процесс разбора вирусного ПО обычно намного скучнее, чем может показаться на первый взгляд. Как правило, речь идет об одном и том же наборе техник: загрузчик, закрепление в системе, канал связи с сервером атакующих, немного зашифрованного кода.

Однако в этот раз бэкдор PhantomRShell, используемый PhantomCore (Head Mare), смог разбавить рутину нашим аналитикам. Как оказалось, вместо банальных техник закрепления в системе PhantomRShell применяет дизассемблер как укрытие, маскируя свою активность под легитимный анализ кода.

Злоумышленники используют доверие к инструментам реверс-инжиниринга как плащ-невидимку для вредоносного ПО, благодаря чему:

🔵усложняется обнаружение бэкдора, поскольку поведение бэкдора выглядит «нормальным»;
🔵обходятся EDR/антивирусы;
🔵серьезно снижается шанс ручного обнаружения.

🔗В статье на Хабре Александр Коростелев, вирусный аналитик отдела реагирования Бастиона, подробно описал, как устроен PhantomRShell, какие техники сокрытия использует и почему классические подходы к детекту тут дают сбой.

#Хабр

• TG • VK •

👀 Как люди прятали секреты задолго до появления VPN, TLS и мессенджеров с end-to-end шифрованием

В доцифровую эпоху мир криптографии держался на человеческой памяти, логике и изобретательности. Не существовало готовых однокнопочных решений, позволяющих мгновенно скрыть чувствительную информацию от чужих глаз.

Со временем методы шифрования эволюционировали: менялись подходы к сокрытию сообщений, усложнялись шифры, появлялись новые инструменты для разведчиков, дипломатов и шпионов. Многие идеи и техники той эпохи повлияли и на современную информационную безопасность.

В цикле материалов по истории криптографии мы проследили этот путь — от древних методов сокрытия сообщений до более современных техник, отголоски которых можно увидеть и сегодня.

🔗 Читайте в статьях на Хабре:

🔵 Про криптографию древних арабов

🔵 Про криптографию Средних веков

🔵 Про шифрование эпохи Ренессанса и как во времена Возрождения пытались усилить устаревшие шифры

🔵 Серию про знаменитые «черные кабинеты»: о работе подобных структур в Европе, про шифрование и перехват посланий в России и как развивались «черные кабинеты» в Российской Империи

🔵Про шифрование, дешифрование и перехват сообщений во время войны 1812 года

#Хабр

• TG • VK •

❤️ Ты или твой друг ищете работу в ИБ? Присмотритесь к вакансиям в Бастионе!

Выбирайте место по душе и связывайтесь с нашими рекрутерами по почте career@bastion-tech.ru или по прямому контакту из описания вакансий.

⚡️ Специалист по расследованию и реагированию на инциденты

Москва, Московская область, гибридный график по рабочей необходимости.

🔵Расследование и реагирование на инциденты ИБ и написание отчетов по результатам проведенных работ
🔵Исследование образов дисков и/или собранных артефактов на предмет поиска следов нелегитимной активности и выяснения ее первопричины
🔵Написание отчётов по результатам проведённых работ
🔵Взаимодействие с заказчиком в ходе оказания услуг, консультирование в рамках оказания услуги

Подробности уточняйте у нашего рекрутера Елены Куркиной.

⚡️ DevSecOps-инженер

РФ, удаленка, работа по московскому часовому поясу.

🔵Внедрение/пилотирование/имплементация/определение целевого стека и настройка инструментов в рамках цикла SSDLC, контейнеризации и средств оркестрации контейнеров;
🔵Участие в построении процесса безопасной разработки и тестировании защищенности ПО, развитие и автоматизация процессов безопасной разработки;
🔵Security Awareness, разработка гайдов, инструкций, архитектурных и процессных схем;
🔵Консультирование внутренних и внешних команд разработки по вопросам безопасной разработки ПО;
🔵Разработка технических требований по применению практик безопасной разработки, quality gates, pipeline шаблонов.

Подробности уточняйте у нашего рекрутера Арины Липовой.

⚡️ Старший специалист по анализу защищенности веб-приложений

РФ, удаленка, работа по московскому часовому поясу.

🔵Участие в проектах по внешнему тестированию на проникновение и анализу защищенности различных ИС;
🔵Выявление и эксплуатация уязвимостей в исследуемых системах;
🔵Составление рекомендаций по устранению выявленных уязвимостей;
🔵Отслеживание актуальных инструментов и техник эксплуатации уязвимостей.

Подробности уточняйте у нашего рекрутера Ольги Борисовой.

⚡️ Специалист по тестированию мобильных приложений (IOS)

РФ, удаленка, работа по московскому часовому поясу.

🔵Анализ защищенности и тестирование на уязвимости iOS-приложений, включая анализ кода и бинарных файлов;
🔵Выявление и эксплуатация уязвимостей в исследуемых приложениях;
🔵Составление рекомендаций по устранению выявленных уязвимостей;
🔵Отслеживание актуальных инструментов и техник эксплуатации уязвимостей.

Подробности уточняйте у нашего рекрутера Елены Куркиной.

➡️ Все #Вакансии в Бастионе смотри на сайте.

• TG • VK •

❤️ Бастион проанализировал защищенность российских компаний

Подготовили отчет по анализу защищенности российских компаний. Документ объединяет опыт многих проектов по тестированию на проникновение, проведенных специалистами Бастиона для представителей бизнеса из различных отраслей.

Собранные статистические данные относятся к периоду с июля по декабрь 2025 года.

В отчете собраны:

🔵 ключевые тенденции в области киберзащиты компаний, выявленные в ходе тестирований;
🔵 ключевые вызовы безопасности, выявленные на основе анализа внешней и внутренней инфраструктуры компаний и беспроводных сетей;
🔵 несколько случаев из реальной практики специалистов Бастиона, дополненные актуальной статистикой и подсвечивающей слабые места безопасности российских компаний.

«Анализ внутренней инфраструктуры остается значительно менее востребованным, чем проверка устойчивости внешнего периметра — его проводит не более 60% компаний. Тестирование методами социальной инженерии тоже пользуется заметно меньшим спросом: регулярно такие проверки проводит менее трети заказчиков, несмотря на рост числа громких кибератак с применением фишинга в 2025 году. Предоставляя подробный отчет по анализу защищенности российских организаций, мы подсвечиваем «слепые зоны», которым, на наш взгляд, уделяется недостаточно внимания, и хотим еще раз подчеркнуть важность комплексного подхода к вопросам информационной безопасности», —

поделился Дмитрий Калинин, руководитель департамента по работе с уязвимостями и инцидентами информационной безопасности Бастиона.

🔗 Подробнее с отчетом можно познакомиться по ссылке.

#Аналитика

• TG • VK •

❓ Что такое ASPM, и как его правильно использовать

Представьте: у команды есть несколько AppSec-инструментов. Каждый работает отдельно и выдает собственный список проблем. В итоге у специалистов на руках оказываются три таблицы, два дашборда, пятьсот строк с находками и ни одного четкого ответа на вопрос: «Что вообще происходит и что чинить первым?».

➡️ Application Security Posture Management (ASPM) — это слой управления безопасностью приложений, объединяющий данные из разных инструментов и превращающий разрозненные результаты проверок в управляемый процесс. По сути, ASPM становится мостом между безопасностью и разработкой, помогая не просто находить проблемы, а доводить их до исправления.

При этом внедрение ASPM не должно сводиться к сбору всех дефектов в «единое окно». Важно сопоставлять находки между собой, проверять их достижимость и отделять реальные угрозы от шума.

👤 Артем Пузанков, руководитель отдела консалтинга безопасной разработки Бастиона, рассказал в материале на Хабре о грамотном управлении состоянием безопасности приложений, ASPM, AI-generated коде и современных подходах к AppSec.

#Хабр

• TG • VK •

💚💚 С 18 по 21 мая Бастион в составе ИКС Холдинга участвует в ЦИПР 2026

Сегодня стартовал первый день конференции «Цифровая индустрия промышленной России» (ЦИПР 2026). В этом году наша команда рассказывает гостям форума про тренды в ИБ и актуальные вызовы для цифрового мира, а также делится практической экспертизой!

Если вы на ЦИПР 2026, приглашаем в гости к Бастиону в павильон № 1 на стенд ИКС Холдинга. Будем там до 21 мая включительно.

До встречи на ЦИПР ❤️

#Мероприятия

• TG • VK •

❓ Как понять, что вам звонит фишер?

Телефонный фишинг по-прежнему остается одним из самых массовых и эффективных методов социальной инженерии. Злоумышленники постоянно совершенствуют сценарии обмана, делают атаки более персонализированными и повышают реалистичность диалогов, что позволяет обманывать даже скептически настроенных собеседников.

В таких условиях критически важным навыком становится способность быстро оценить ситуацию, распознать признаки манипуляции и понять, что на другом конце линии находится злоумышленник.

👤 Мария Сергеева, специалист группы социально-технического тестирования Бастиона, в разговоре с TechInsider рассказала, как устроены фишинговые звонки, по каким признакам их можно распознать и что делать, если данные уже попали к преступникам.

#Эксперты_объясняют

• TG • VK •

🗡 Злоумышленники переходят от точечных атак к масштабируемым гибридным кампаниям

За последние годы дипфейк-технологии прошли путь от редкого и дорогостоящего инструмента до базового элемента теневой фрод-инфраструктуры. Сегодня их применение не требует ни специализированного оборудования, ни высокой квалификации исполнителей. Это приводит к появлению локальных генераторов синтетического аудио- и видеоконтента.

Ситуацию усложняет и то, что атаки с использованием дипфейков продолжают быстро эволюционировать, демонстрируя резкие изменения как в методах создания, так и в сценариях применения.

👤 Мария Сергеева, ведущий специалист группы социально-технического тестирования Бастиона, в разговоре с Cyber Media отметила ключевой тренд в области дипфейк-атак — индустриализацию.

Как отмечает эксперт, все чаще на теневом рынке появляются предложения Deepfake-as-a-Service и AlSaaS — нейросетевой обман как сервис. Злоумышленники используют предварительно собранные аудиозаписи и генерируют синтетическую речь с задержкой менее 0,3–0,5 секунды, что дает им возможность участвовать в диалогах практически в режиме реального времени.

🔗 Подробности в материале Cyber Media

#Эксперты

• TG • VK •

🛡 ИТ-холдинг Т1 и «ИКС Безопасность» заключили соглашение о технологическом партнерстве

Компании уже работают над значимым инфраструктурным проектом в транспортной отрасли, который обещает стать одним из крупнейших в стране.

В ходе работы сформированы ИТ-архитектура и карта покрытия требований ИБ с акцентом на транспортную отрасль, проанализированы функциональные требования, модель развертывания, а также сценарии интеграции решений «ИКС Безопасность» в общую архитектуру проекта.

«Для нас важно участвовать в проектах, где информационная безопасность рассматривается как часть архитектурной логики всей цифровой среды. Партнерство с ИТ-холдингом Т1 позволяет объединить технологическую экспертизу и практический опыт обеих команд для реализации масштабных инфраструктурных проектов с высокими требованиями к надежности, устойчивости и защите критически важных данных. Такое взаимодействие создает основу для разработки комплексных решений, способных эффективно отвечать на актуальные вызовы крупных заказчиков»,

— прокомментировал Александр Ковалевский, генеральный директор «ИКС Безопасность».

🔗 Подробности

✅ «ИКС Безопасность» — объединение компаний, консолидирующее экспертизу в ИБ-сфере. В него входят разработчик решений «Гарда» и сервисная компания «Бастион».

#Новости

• TG • VK •

❤️ Бизнес активно интересуется превентивными подходами безопасности: тестированием на проникновение и киберучениями

Информационная безопасность прошла путь от простой ИТ-функции до полноценного инструмента управления бизнесом. Проработка надежной защиты инфраструктуры стала абсолютной необходимостью большинства российских организаций.

👤 Дмитрий Калинин, руководитель департамента по работе с уязвимостями и инцидентами информационной безопасности Бастиона, в разговоре с «Российской газетой» отметил, что в последнее время организации уделяют более пристальное внимание мониторингу инфраструктуры и внешнего периметра.

Кроме защиты от грядущих угроз, эти меры позволяют своевременно обнаружить следы компрометации и избежать негативных последствий.

🔗 Подробности в материале «Российской газеты»

#Эксперты

• TG • VK •

❤️ Провели насыщенную неделю на ЦИПР-2026

В этом году Бастион и Гарда приняли участие в ЦИПР в составе направления «ИКС Безопасность». Вместе с коллегами мы:

➡️ Рассказывали гостям про передовые ИБ-технологии и методы защиты

➡️ Обменивались опытом, делились видением перспектив ИБ-отрасли и обсуждали бизнес-модели

Гостей было много, но наша команда достойно выдержала эти насыщенные дни! Спасибо всем, кто посетил нас на ЦИПР 2026, и до встречи на новых мероприятиях. ❤️

#Мероприятия

• TG • VK •

✅ Старые подписки и забытые аккаунты, в которых сохранены платежные реквизиты — легкая цель для злоумышленников

👤 Константин Ларин, руководитель департамента киберразведки Бастиона, напомнил читателям Газета.Ru о важности тщательного контроля за привязкой платежных карт к различным онлайн-сервисам.

Как правило, доступ к платежным данным атакующие получают через утечки баз сервисов, где ранее использовалась карта, а также с помощью фишинговых атак, вредоносных приложений и слабых паролей. После этого с карт пострадавших проводятся небольшие регулярные списания, которые сложно сразу заметить, или тестовые транзакции для проверки активности карты и последующих более крупных переводов.

👁 В случае привязки карты к кредитному лимиту такие списания способны привести к росту задолженности и ухудшению кредитной истории пользователя.

Как защититься:

🔵 регулярно проверять активные подписки и автоплатежи через банковские приложения;
🔵 удалять неиспользуемые карты из сервисов;
🔵 использовать отдельные или виртуальные счета для онлайн-оплаты;
🔵 включать уведомления по операциям и двухфакторную аутентификацию;
🔵 при подозрении на компрометацию данных перевыпустить карту.

#Эксперты

• TG • VK •

🛡 Стратегия выживания при атаке вайпера: делать бэкапы нужно правильно

❓ Вайперы (wipers) — это класс вредоносного ПО, предназначенный для уничтожения данных и вывода инфраструктуры из строя. Их задача — сделать системы неработоспособными через удаление критически важных файлов, сервисов и резервных копий.

Как и в случае с программами-шифровальщиками, главным способом восстановления после атаки остается заранее подготовленный бэкап. Но здесь важно не только наличие резервных копий, но и их архитектура, иначе резервная копия исчезнет вместе с основной инфраструктурой.

👤 Семен Рогачев, руководитель отдела реагирования на инциденты Бастиона, в разговоре с Cyber Media отметил, что нередко компании жертвуют безопасностью бэкапов в угоду удобству и упрощению работы.

К сожалению, для атакующих, использующих названное ПО, системы резервного копирования — приоритетная цель. Правильная реализация стратегии резервного копирования, например, с использованием физически изолированных резервных копий, часто неудобна, поэтому с целью упрощения работы с ней принимаются архитектурные решения, которые в дальнейшем используются злоумышленниками. Например, использование доменной аутентификации в системе резервного копирования, отсутствие ее изоляции от основного контура инфраструктуры.

🔗 Подробности в материале Cyber Media

#Эксперты

• TG • VK •

⚡️ Настройка MFA для VPN в UserGate без дополнительных серверов, лицензий и сторонних клиентов

Встроенный MFA в решениях UserGate работает удобно и не требует отдельного RADIUS-сервера. Но есть нюанс: полноценный фирменный VPN-клиент пока доступен только под Linux, тогда как в реальных инфраструктурах многих компаний остается смешанный парк операционных систем.

Из-за этого администраторам нередко приходится искать компромиссные варианты, чтобы быстро внедрить второй фактор для удаленного доступа без отдельного VPN-шлюза и сложной инфраструктуры.

Написали гайд, как собрать рабочую схему Remote Access VPN на базе встроенных возможностей UserGate и штатных VPN-клиентов Windows, macOS и Linux:

🔵 пошаговая настройка серверной части;
🔵 подключение TOTP;
🔵 настройка L2TP/IPsec;
🔵 автоматизация клиентской части через PowerShell;
🔵 онбординг пользователей с QR-кодами и приложениями-аутентификаторами.

➡️ Читать на Хабре

#Хабр

• TG • VK •

✅ Используйте LLM правильно — и они станут мощным инструментом для поиска уязвимостей

Специалистам по AppSec и исследователям безопасности перед интеграцией LLM в рабочие процессы важно заранее выстроить подходы к взаимодействию с ИИ-системами. Иначе вместо ускорения аудита можно получить поток ложноположительных выводов, галлюцинаций и нерелевантных гипотез, которые усложнят работу, а не упростят.

👤 Сергей Зыбнев, ведущий специалист по анализу защищенности мобильных и веб-приложений в Бастионе, представил на Хабре перевод большого практического гайда Needle in the Haystack: LLMs for Vulnerability Research. В материале разобран фреймворк применения LLM для аудита безопасности, который, по словам автора, помог обнаружить более 30 потенциальных уязвимостей в популярных open source-проектах за два месяца.

В статье объясняется:

🔵 почему огромные системные промпты и загрузка всей кодовой базы целиком ухудшают качество анализа;
🔵 зачем заранее строить модель угроз;
🔵 как проверять код небольшими сфокусированными фрагментами по границам доверия;
🔵 почему роль «атакующего» и требование подготовить PoC для эксплуатации нередко дают более качественные результаты, чем классический режим «аудитора».

🔗 Подробности — в статье на Хабре.

#Хабр

• TG • VK •

👀 Атаки через доверенных подрядчиков стали ключевым трендом 2025 года

Многочисленные исследования отечественных и зарубежных ИБ-компаний практически единогласно подтверждает рост популярности атак через доверительные отношения (Trusted Relationship). В частности, по данным аналитиков Бастиона, на Trusted Relationship в 2025 году пришлось не менее 30% подтвержденных инцидентов.

👤 Семен Рогачев, руководитель отдела реагирования на инциденты Бастиона, в разговоре с блогом «Игнатий Цукергохер» предположил, что в 2026 году атаки через подрядные организации останутся одним из трех наиболее частых векторов получения первоначального доступа.

«При этом более распространенным вектором с высокой вероятностью окажется эксплуатация уязвимостей веб-приложений, поскольку динамика обнаружения слабых мест в защите за счет использования больших языковых моделей растет».

🔗 Подробности — в статье блога «Игнатий Цукергохер».

✅ Напоминаем, что ранее мы опубликовали отчет по анализу защищенности российских компаний в период с июля по декабрь 2025 года. Для запроса отчета переходите по ссылке.

#Эксперты

• TG • VK •

🔍 Стеганография существовала задолго до первых компьютеров

Как и сейчас, в далеком прошлом люди пытались скрыть не только содержание послания, но и сам факт его передачи. Носители меняются, но принципы остаются те же.

Древние стенографы прятали сообщения под слоем воска на дощечках, в вытатуированных на бритой голове текстах, которые «проявлялись» после отрастания волос, и даже в наборах «подарков» царям, состоящих из мышей, лягушек и стрел, где сами предметы работали как код.

🔗 В материале на Хабре разбираем, какой зоопарк стегоконтейнеров использовали наши предшественники и как эти идеи перекликаются с современной цифровой стеганографией.

🔗 Также читайте наш цикл по истории криптографии: как люди прятали секреты задолго до появления скрытых каналов передачи данных, TLS и мессенджеров с end-to-end шифрованием.

#Хабр

• TG • VK •